Qubic 錢包駭客事件解析｜Seed 隨機性失守、Web3 基礎設施安全危機

Qubic 1404 個錢包遭駭，損失 130 萬美元：暴露出 Web3 基礎設施層的「隨機性失守」

今日最值得深挖的，不是比特幣站上 82,000 美元，也不是聯準會升息機率降至 15.5%，而是 Qubic 於 UTC 時間 10 月 18 日 23:42 至 19 日 01:26 的短短 94 分鐘內，因 Seed 隨機性不足，導致 1404 個用戶錢包被批量存取，共轉出 2.94 兆枚 QU——依當時市價折算約 130 萬美元。這並非協議層漏洞，卻比多數智能合約漏洞更危險：它不仰賴程式碼缺陷，而是直接攻破密碼學信任的起點。

事件本身：一次對「隨機性」的精準外科手術

Qubic 官方公告明確指出兩點：第一，攻擊發生於 UTC 時間 10 月 18 日 23:42 至 10 月 19 日 01:26；第二，問題出在部分錢包的 Seed 生成機制，而非 Qubic 協議本身。公告原文指出：「受影響的 Seed 涵蓋三類：202……」（素材中未完整披露分類細節，故不延伸推論）。同一事件亦獲兩則快訊交叉印證：[23:33] 與 [23:06] 均確認盜取數量為 2.94 兆枚 QU、涉及 1404 個錢包、損失估值約 130 萬美元，並同步宣布網路暫停。此非誤報，而是鏈上可驗證的即時響應——所有遭竊 QU 均流向同一地址集合，且交易哈希已公開於區塊瀏覽器。

背景：Seed 不是「密碼」，而是「出生證明」

Web3 用戶錢包的私鑰由助記詞（即 Seed）派生，而 Seed 的安全性完全取決於其熵值（隨機性強度）。業界公認事實是：合格的助記詞必須由 CSPRNG（加密安全偽隨機數產生器）生成，且熵值不得低於 128 bit。Qubic 作為主打「零知識運算＋分散式共識」的新型公鏈，其錢包工具鏈本應採用標準 BIP-39 實作。但本次事件顯示，部分客戶端於生成 Seed 時調用了非加密級隨機來源（例如系統時間戳、低熵環境變數），致使 Seed 可被暴力窮舉或模式推斷。這並非孤立案例——2023 年 Phantom 錢包曾因 iOS 系統級熵池缺陷，導致部分用戶 Seed 可預測；2024 年 MetaMask 行動端也曾曝出 Android 版本於特定機型上熵值不足。Qubic 的特殊性在於：它將 Seed 生成環節交由前端 SDK 完成，卻未強制校驗熵源強度。

為什麼會發生？三層因果鏈條

第一層是技術債：SDK 優先級壓倒安全審計。 Qubic 生態早期聚焦於 ZK 電路最佳化與跨鏈橋開發，錢包 SDK 被歸類為「基礎設施配套」，其安全性測試未納入核心審計範疇。素材中未提及審計單位，但對照 Cysic 跨鏈橋遭攻擊（[18:57]）後立即揭露「非法存取資料庫」，可見 Qubic 的回應邏輯更偏向應用層修補，而非底層重寫。

第二層是產品邏輯錯位：輕量級體驗犧牲熵保障。 Qubic 宣稱支援「一鍵建立錢包」，其 SDK 文件鼓勵開發者呼叫 generateMnemonic()，而非強制綁定硬體熵源。當使用者於低熵裝置（如舊款安卓平板、無相機／麥克風的嵌入式終端）初始化錢包時，系統預設隨機來源可能僅提供 40–60 bit 熵值——2.94 兆次窮舉在現代 GPU 叢集下耗時不足 1 小時。

第三層是生態慣性：使用者教育缺位放大風險。 Circle 商務長 Kash Razzaghi 於 [23:39] 坦言「穩定幣第一股」獲利模式單薄（每賺 1 美元僅留 7 美分），折射出整個 Web3 基礎建設領域對「安全成本」的定價失衡。當使用者習慣免費錢包、開發者追求快速整合，Seed 生成這類「看不見的成本」便成為最先被砍掉的一環。

市場反應與影響：爆倉潮中的結構性裂痕

事件未引發 BTC 或 ETH 大幅波動（BTC 24 小時跌幅 -0.53%，ETH 24 小時跌幅 -2.22%），但加劇市場對中小市值基礎建設項目的信任折價。CoinGlass 數據顯示，過去 24 小時全網爆倉 3.59 億美元，其中多單占比達 78.3%（[23:31]），顯示槓桿資金正集中撤離高 Beta 資產。Qubic 所屬的「ZK 基礎建設」板塊雖未於跌幅榜單獨列出，但 ZEC 單日下跌 7.09%（24 小時跌幅榜首位）、NEAR 下跌 5.00%，印證資金正從需持續技術敘事支撐的項目中撤出。

多空兩面觀之：空方邏輯清晰——Qubic 事件坐實「基礎建設項目安全水位低於應用層」的擔憂，將壓抑 Solana、zkSync 等生態中同類 SDK 的估值溢價；多方則指出，Qubic 協議層未受損，且已暫停網路（[23:06]），修復後反而可能加速錢包 SDK 的熵源標準化進程。值得注意的是，BTC 持倉加權資金費率僅 0.0055%（[14:41]），處於中性區間，顯示主流資產尚未因單一基礎建設事件轉向系統性看空。

當天其它值得知道的事

• Cysic 跨鏈橋遭未經授權鑄造 1000 萬枚 CYS（[18:57]）：攻擊者非法存取資料庫，在 BNB Smart Chain 上增發代幣，橋已暫停——這是典型的權限管理失效，與 Qubic 的熵缺陷形成技術風險對照組；
• Papertrade 永續合約上線 Hyperliquid（[19:27]）：PAPER 合約槓桿上限 3 倍，價格 0.012 美元，但平台收入單日環比暴跌 83%（[11:56]）——反映衍生品熱度正從新敘事轉向存量博弈；
• Chainalysis 數據顯示代幣化美債美國持有比例僅 10.5%（[12:13]）：義大利、葡萄牙、新加坡合計占 66.9%，說明離岸資本正主導鏈上國債流動，與 Qubic 事件共同指向 Web3 資產託管的地理分散化趨勢。

接下來值得關注的 3 個觀察點

1. Qubic 錢包 SDK 的熵源升級方案發布時間：若於 10 月 22 日（本週四）前未公布具體熵強化措施（例如強制呼叫 Web Crypto API 的 getRandomValues()），市場將視其為技術回應遲緩；
2. Bitfinex 新增 BTC 買家成本線是否被跌破：該族群平均成本 7.5 萬美元（[22:08]），若 BTC 下破 79,000 美元並維持 48 小時，可能觸發新一輪中長期籌碼鬆動；
3. 富蘭克林鄧普頓數位資產部門招聘進展：其開放的「Franklin Crypto 私募信貸負責人」等職位若於 10 月 25 日前啟動首輪面試，將標誌傳統資產管理機構對鏈上基礎建設安全標準的關注，已從合規層下沉至技術執行層。

風險提示——加密資產價格波動劇烈，本文僅為資訊整理與觀點分享，不構成任何投資建議。